Siklus hidup kriptografi selengkapnya

Saat Anda menekan Enkripsi, browser membuat kunci konten 256-bit yang baru dari WebCrypto CSPRNG dan mengenkripsi payload Anda dengan AES-256-GCM. GCM bersifat terautentikasi: setiap potongan data membawa tag 128-bit, sehingga perubahan apa pun di kemudian hari terdeteksi, alih-alih didekripsi diam-diam.

Teks dan file ditangani dengan cara yang sama — keduanya menjadi satu gumpalan data biner yang buram, diberi padding hingga ukuran standar sehingga kata sandi pendek dan file kecil tampak serupa. Plaintext tidak pernah menyentuh jaringan dan tidak pernah meninggalkan memori tab.

Tautan Anda membawa seed acak 256-bit di fragmen URL — semua yang ada setelah tanda #. Menurut spesifikasi URL, fragmen dibuang oleh browser dan tidak pernah disertakan dalam permintaan yang dikirim ke server kami. Dari seed itu, browser menurunkan dengan HKDF sebuah nilai pencarian untuk menemukan rahasia dan kunci yang membuka bungkus kunci konten. Server hanya pernah melihat hash dari nilai pencarian itu.

Browser penerima membaca seed dari fragmen dan melakukan penurunan yang sama secara lokal. Inilah arti “zero-knowledge” di sini: memiliki ciphertext saja tidak ada gunanya tanpa tautannya.

Jika Anda memasang frasa sandi, frasa sandi itu diperkuat dengan Argon2id — fungsi derivasi kunci yang boros memori — lalu digabungkan dengan seed menjadi kunci yang membungkus kunci konten. Frasa sandinya sendiri tidak pernah dikirim atau disimpan; hanya Anda dan penerima yang mengetahuinya. Tebakan yang salah dicoba ulang di browser penerima terhadap data yang sudah dimilikinya, sehingga server tidak bisa menghitungnya.

Sifat boros memori membuat penebakan offline berskala besar menjadi mahal, bahkan dengan GPU dan ASIC. Bagikan frasa sandi lewat saluran yang berbeda dari tautannya, sehingga kedua faktor itu tidak pernah bertemu di satu tempat. Modul Argon2 diambil pada setiap pembuatan dan penampilan rahasia, sehingga jaringan tidak bisa mengetahui rahasia mana yang memakai frasa sandi.

Gumpalan data diunggah lewat TLS dan disimpan sebagai ciphertext bersama kredensial yang di-hash, masa berlakunya, dan waktu kedaluwarsa yang dibulatkan. Kami sengaja tidak menyimpan identitas pengirim, penerima, log IP, waktu pembuatan, atau riwayat akses. Tidak ada sistem akun yang bisa mengaitkan rahasia dengan seseorang. Pembatasan laju bekerja dengan HMAC dari alamat menggunakan salt yang dirotasi, sehingga tidak ada data sebelum rotasi yang bisa dikaitkan dengan data sesudahnya.

Karena objek yang disimpan tidak bermakna tanpa seed di fragmen, peretasan server atau surat perintah pengadilan hanya menghasilkan byte buram dan hash yang tidak bisa diubah kembali menjadi apa pun.

Tidak ada yang diambil saat halaman tampilan dimuat: permintaan baru dikirim saat ada klik atau tekan tombol yang sungguhan, sehingga pemindai tautan dan pratinjau chat tidak bisa menghabiskan rahasia. Untuk rahasia sekali lihat, server mengklaim barisnya dalam satu update bersyarat — tepat satu permintaan yang menang — dan rahasia dianggap sudah terpakai sejak saat itu. Browser yang sama dapat mengunduh ulang selama 15 menit jika koneksi terputus; tidak ada orang lain yang bisa, dan klaim yang tidak dikonfirmasi dimusnahkan, tidak pernah dibatalkan. Rahasia berbatas waktu cukup dibaca biasa sampai kedaluwarsa.

Setiap rahasia juga memiliki tautan pemusnah pribadi. Membukanya saja tidak memusnahkan apa pun; mengonfirmasinya langsung menghapus ciphertext — sebelum penerima mana pun sempat membacanya.